Код ИБ впервые пройдет в Якутске

Код ИБ впервые пройдет в Якутске

16 августа столица Республики Саха впервые готовится принять самую масштабную конференцию по информационной безопасности - “Код ИБ”, которая проходит  на территории 6 стран (27 городов).

“Код информационной” безопасности” - серия бесплатных конференций для сотрудников служб информационной безопасности и информационных технологий, которая успешно проводится уже более 14 лет.

Спикерами станут Алена Бугаенко (SearchInform, г. Москва), Сергей Чекрыгин (Check Point, г. Москва), Игорь Пеннер (ГК ТОНК, г. Москва) и другие известные эксперты-практики из Москвы и Новосибирска, в том числе, из компаний Доктор Веб, ESET, АйТИ Таск, StaffCop и других.

Основными темами конференции будут тренды кибербезопасности, управление и технологии ИБ. Мероприятие завершится сессией “Горячая десятка”, в рамках которой будут названы 10 самых актуальных проблем региона в сфере информационной безопасности.

Следует отметить, что якутский “Код  ИБ” пройдет в рамках второго межрегионального форума IT и кибербезопасности “Iceberg”. “Организаторы Iceберга обратились к нам с инициативой привезти наш “Код ИБ” в Якутию, и мы с радостью согласились. Открыв в прошлом году Хабаровск и Владивосток,мы продолжаем осваивать Дальний Восток”.

Бесплатная регистрация для руководителей и  специалистов отделов ИБ и ИТ по ссылке https://yakutsk.codeib.ru/

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Веб-интерфейс умных ванн Jacuzzi сливал ПДн всех любителей гидромассажа

Независимый исследователь выявил в веб-интерфейсе SmartTub уязвимости, позволяющие просматривать и редактировать данные клиентов Jacuzzi. Автор атаки также потенциально мог подстроить каверзу любому владельцу гидромассажной ванны или спа-бассейна — наполнить их кипятком, изменить цикл фильтрации и т. п.

Система SmartTub, как и другие IoT-сервисы, позволяет управлять умной ванной с помощью Android- или iOS-приложения — дистанционно включать и выключать форсунки, менять подсветку, контролировать температуру воды. В каталоге Google Play за SmartTub числится более 10 тыс. загрузок.

Белый хакер Итон Звир (Eaton Zveare) обнаружил возможность получения доступа к бэкенду SmartTub, когда занялся настройкой своей только что прибывшей умной джакузи. Создав аккаунт с помощью мобильного приложения, он получил подтверждение с сайта smarttub.io; как оказалось, регистрация на нем осуществляется через Auth0.

При попытке входа сайт выдал сообщение об ошибке 401 (Unauthorized — отказ в доступе), но перед этим на экране быстро промелькнули заголовок и таблица. Заинтересовавшись, Звир применил запись экрана и к своему удивлению обнаружил, что это панель администратора, заполненная пользовательскими данными.

 

Как оказалось, консоль реализована как одностраничное приложение на основе JavaScript-библиотеки React, и к ней можно получить полный доступ. Обойти ограничения, выдав себя за админа, исследователю помог Fiddler — инструмент тестирования, позволяющий перехватывать и анализировать трафик между клиентом и сервером.

В итоге ему удалось добраться до информации об установленных по всему миру IoT-устройствах Jacuzzi и их пользователях (в последнем случае список включал только имена и email). Подобная возможность, по словам Звира, позволяет также редактировать аккаунты и лишать владельцев права собственности.

При просмотре APK-файла приложения Android хакер обнаружил ссылку на другую админ-панель. Попытка входа под своими идентификаторами и здесь вернула ошибку, но хакер вновь преодолел преграду путем подмены JavaScript-кода, так как эта консоль тоже использует React.

Кроме тех же пользовательских данных, здесь можно было просмотреть и изменить сроки подписки, производственные логи, списки дилеров и зарегистрированных мобильных устройств (без номеров телефона).

 

О неприятных находках Звир сообщил в Jacuzzi и в ответ получил запрос на более детальное описание проблем. Дальнейшие попытки добиться исправления ситуации результата не дали; разработчик упорно игнорировал письма и DM в Твиттере, поэтому баг-хантер решил заручиться поддержкой Auth0.

Поставщику услуг авторизации далеко не сразу удалось достучаться до Jacuzzi, но в итоге искомый эффект был достигнут — спустя полгода. Одну из админ-панелей SmartTub отключили, а другую по-тихому пофиксили.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru